Le 13 mai 2014, la Cour de justice de l’Union européenne a jugé que l’exploitant d’un moteur de recherche sur Internet est responsable du traitement qu’il effectue des données à caractère personnel qui apparaissent sur des pages web publiées par des tiers (CJUE, 13 mai 2014, Google Spain SL, Google Inc. / Agencia Española de Protección de Datos, Mario Costeja González, C-131/12)
Ainsi, lorsque, à la suite d’une recherche effectuée à partir du nom d’une personne, la liste de résultats affiche un lien vers une page web qui contient des informations sur la personne en question, la personne concernée peut s’adresser directement à l’exploitant ou, lorsque celui-ci ne donne pas suite à sa demande, saisir les autorités compétentes pour obtenir, sous certaines conditions, la suppression de ce lien de la liste de résultats
Pour mémoire, la Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, vise à protéger les libertés et droits fondamentaux des personnes physiques (droit à la vie privée notamment) lors du traitement des données à caractère personnel tout en éliminant les obstacles à la libre circulation de ces données.
En 2010, M. Mario Costeja González, de nationalité espagnole, a introduit auprès de l’Agencia Española de Protección de Datos (Agence espagnole de protection des données, AEPD) une réclamation à l’encontre de La Vanguardia Ediciones SL (éditeur d’un quotidien largement diffusé en Espagne, notamment dans la région de Catalogne) ainsi qu’à l’encontre de Google Spain et de Google Inc.
M. Costeja González faisait valoir que, lorsqu’un internaute introduisait son nom dans le moteur de recherche du groupe Google (« Google Search »), la liste de résultats affichait des liens vers deux pages du quotidien de La Vanguardia, datées de janvier et mars 1998.
Ces pages annonçaient notamment une vente aux enchères immobilière organisée à la suite d’une saisie destinée à recouvrer les dettes de sécurité sociale dues par M. Costeja González.
Par cette réclamation, M. Costeja González demandait, d’une part, qu’il soit ordonné à La Vanguardia soit de supprimer ou de modifier les pages en cause (afin que ses données personnelles n’y apparaissent plus) soit de recourir à certains outils fournis par les moteurs de recherche pour protéger ses données.
D’autre part, M. Costeja González demandait qu’il soit ordonné à Google Spain ou à Google Inc. de supprimer ou d’occulter ses données personnelles afin qu’elles disparaissent des résultats de recherche et des liens de La Vanguardia.
Dans ce contexte, M. Costeja González affirmait que la saisie dont il avait fait l’objet avait été entièrement réglée depuis plusieurs années et que la mention de celle-ci était désormais dépourvue de toute pertinence.
L’Agence espagnole de protection des données a rejeté la réclamation dirigée contre La Vanguardia, estimant que l’éditeur avait légalement publié les informations en cause.
En revanche, la réclamation a été accueillie en ce qui concerne Google Spain et Google Inc.
L’Agence espagnole de protection des données a demandé à ces deux sociétés de prendre les mesures nécessaires pour retirer les données de leur index et pour en rendre l’accès impossible à l’avenir.
Google Spain et Google Inc. ont introduit deux recours devant l’Audiencia Nacional (Audience nationale, Espagne), concluant à l’annulation de la décision de l’Agence espagnole de protection des données.
C’est dans ce contexte que la juridiction espagnole a déféré une série de questions à la Cour de justice par la procédure dite du renvoi préjudiciel.
Le renvoi préjudiciel permet aux juridictions des États membres, dans le cadre d'un litige dont elles sont saisies, d'interroger la Cour sur l'interprétation du droit de l’Union ou sur la validité d'un acte de l’Union.
La Cour ne tranche pas le litige national. Il appartient à la juridiction nationale de résoudre l'affaire conformément à la décision de la Cour. Cette décision lie, de la même manière, les autres juridictions nationales qui seraient saisies d’un problème similaire.
Dans son arrêt rendu le 13 mai 2014, la Cour constate tout d’abord qu‘en recherchant de manière automatisée, constante et systématique des informations publiées sur Internet, l’exploitant d’un moteur de recherche procède à une « collecte » des données au sens de la directive.
La Cour estime en outre que l’exploitant « extrait », « enregistre » et « organise » ces données dans le cadre de ses programmes d’indexation avant de les « conserver » sur ses serveurs et, le cas échéant, de les « communiquer » à ses utilisateurs et de les « mettre à la disposition » de ces derniers sous forme de listes de résultats.
Ces opérations, visées de manière explicite et inconditionnelle dans la directive, doivent être qualifiées de « traitement », indépendamment du fait que l’exploitant du moteur de recherche les applique de manière indifférenciée à des informations autres que les données à caractère personnel.
La Cour rappelle en outre que les opérations visées par la directive doivent être qualifiées de traitement même lorsqu’elles concernent exclusivement des informations déjà publiées en l’état dans les médias.
Une dérogation générale à l’application de la directive dans une telle hypothèse aurait pour effet de vider largement cette dernière de son sens.
La Cour juge par ailleurs que l’exploitant du moteur de recherche est le « responsable » de ce traitement, au sens de la directive, étant donné que c’est lui qui en détermine les finalités et les moyens.
La Cour relève à cet égard que, dans la mesure où l’activité d’un moteur de recherche s’ajoute à celle des éditeurs de sites web et est susceptible d’affecter significativement les droits fondamentaux de la vie privée et de la protection des données à caractère personnel, l’exploitant du moteur de recherche doit s’assurer, dans le cadre de ses responsabilités, de ses compétences et de ses possibilités, que son activité est conforme aux exigences de la directive.
En ce qui concerne, ensuite, l’étendue de la responsabilité de l’exploitant du moteur de recherche, la Cour constate que celui-ci est, dans certaines conditions, obligé de supprimer de la liste de résultats, affichée à la suite d’une recherche effectuée à partir du nom d’une personne, des liens vers des pages web, publiées par des tiers et contenant des informations relatives à cette personne.
La Cour précise qu’une telle obligation peut exister également dans l’hypothèse où ce nom ou ces informations ne sont pas effacés préalablement ou simultanément de ces pages web, et ce, le cas échéant, même lorsque leur publication en elle-même sur lesdites pages est licite.
La Cour souligne dans ce contexte qu’un traitement de données à caractère personnel réalisé par un tel exploitant permet à tout internaute, lorsqu’il effectue une recherche à partir du nom d’une personne physique, d’obtenir, par la liste de résultats, un aperçu structuré des informations relatives à cette personne sur Internet.
La Cour relève en outre que ces informations touchent potentiellement à une multitude d’aspects de la vie privée et qu’en l’absence du moteur de recherche, elles n’auraient pas pu être interconnectées ou n’auraient pu l’être que très difficilement. Les internautes peuvent ainsi établir un profil plus ou moins détaillé des personnes recherchées.
Par ailleurs, l’effet de l’ingérence dans les droits de la personne se trouve démultiplié en raison du rôle important que jouent Internet et les moteurs de recherche dans la société moderne, ces derniers conférant un caractère ubiquitaire aux informations contenues dans les listes de résultats.
Compte tenu de sa gravité potentielle, une telle ingérence ne saurait, selon la Cour, être justifiée par le seul intérêt économique de l’exploitant du moteur dans le traitement des données
La Cour relève à cet égard que, si, certes, les droits de la personne concernée prévalent également, en règle générale, sur ledit intérêt des internautes, cet équilibre peut toutefois dépendre, dans des cas particuliers, de la nature de l’information en question et de sa sensibilité pour la vie privée de la personne concernée ainsi que de l’intérêt du public à recevoir cette information, lequel peut varier, notamment, en fonction du rôle joué par cette personne dans la vie publique.
En outre, interrogée sur la question de savoir si la directive permet à la personne concernée de demander que des liens vers des pages web soient supprimés d’une telle liste de résultats au motif qu’elle souhaiterait que les informations y figurant relatives à sa personne soient « oubliées » après un certain temps, la Cour relève que, s’il est constaté, suite à une demande de la personne concernée, que l’inclusion de ces liens dans la liste est, au stade actuel, incompatible avec la directive, les informations et liens figurant dans cette liste doivent être effacés.
En effet, un traitement initialement licite de données exactes peut devenir, avec le temps, incompatible avec cette directive lorsque, eu égard à l’ensemble des circonstances caractérisant le cas d’espèce, ces données apparaissent inadéquates, pas ou plus pertinentes ou excessives au regard des finalités pour lesquelles elles ont été traitées et du temps qui s’est écoulé.
La Cour ajoute que, dans le cadre de l’appréciation d’une telle demande introduite par la personne concernée à l’encontre du traitement réalisé par l’exploitant d’un moteur de recherche, il convient notamment d’examiner si cette personne a un droit à ce que les informations en question relatives à sa personne ne soient plus, au stade actuel, liées à son nom par une liste de résultats qui est affichée à la suite d’une recherche effectuée à partir de son nom.
Si tel est le cas, les liens vers des pages web contenant ces informations doivent être supprimés de cette liste de résultats, à moins qu’il existe des raisons particulières, telles que le rôle joué par cette personne dans la vie publique, justifiant un intérêt prépondérant du public à avoir, dans le cadre d’une telle recherche, accès à ces informations.
La Cour précise que la personne concernée peut adresser de telles demandes directement à l’exploitant du moteur de recherche qui doit alors dûment examiner le bien-fondé de celles-ci.
Lorsque le responsable du traitement ne donne pas suite à ses demandes, la personne concernée peut saisir le juge pour que soit ordonné sous astreintes à ce responsable des mesures précises en conséquence.
S’agissant du champ d’application territorial de la directive, la Cour observe que Google Spain constitue une filiale de Google Inc. sur le territoire espagnol et, partant, un « établissement » au sens de la directive.
La Cour rejette donc l’argument selon lequel le traitement de données à caractère personnel par Google Search n’est pas effectué dans le cadre des activités de cet établissement en Espagne.
La Cour considère à cet égard que, lorsque de telles données sont traitées pour les besoins d’un moteur de recherche exploité par une entreprise qui, bien que située dans un État tiers, dispose d’un établissement dans un État membre, le traitement est effectué « dans le cadre des activités » de cet établissement, au sens de la directive, dès lors que celui-ci est destiné à assurer, dans l’État membre en question, la promotion et la vente des espaces publicitaires proposés sur le moteur de recherche en vue de rentabiliser le service offert par ce dernier.
Cet arrêt consacre notamment une protection efficace et complète d’un droit à l’effacement des données à caractère personnel des individus sur internet et une certaine garantie du droit au respect de la vie privée des personnes.
Concrètement, chacun dispose d’un droit de solliciter des moteurs de recherche sur internet qu’ils effacent tous les contenus (licites ou illictes) les concernant, publiés sur des pages de sites tiers et indexés dans les résulats dudit moteur.
Je suis à votre disposition pour toute action ou information (en cliquant ici).
PS : Pour une recherche facile et rapide des articles rédigés sur ces thèmes, vous pouvez taper vos "mots clés" dans la barre de recherche du blog en haut à droite, au dessus de la photographie.
Anthony Bem
Avocat à la Cour
27 bd Malesherbes - 75008 Paris
01 40 26 25 01
abem@cabinetbem.com
